https://www.informationsecurity.com.tw/Seminar/2024_TCM/
https://www.informationsecurity.com.tw/Seminar/2024_TCM/

新聞

報告:7成臺灣五星飯店電郵設置不全,消費者易遭詐騙威脅

2023 / 08 / 17
編輯部
報告:7成臺灣五星飯店電郵設置不全,消費者易遭詐騙威脅
面對大量的消費者個資與金流資訊,飯店旅宿成為潛在攻擊的入口,尤其在繁複的上下游資訊鏈整合、APP應用中,供應鏈安全及攻擊面管理的議題更顯重要。Cymetrics分析臺灣國內15間知名五星級飯店的外在資安曝險情形發現,高達7成業者並未妥善管理電子郵件的安全,相關設置不完全,將導致業者及消費者遭受社交工程威脅,亟需業者加強資安控管,使消費者能安心選擇。
 
Cymetrics表示,這次檢測包括網路服務、網站、電子郵件、帳號密碼與雲端安全面向。報告於發布前皆提供所提及的15家飯店業者參看,其中有業者積極回應,如煙波國際觀光集團,並迅速執行內部盤點,以確認帳密部分並未造成影響,因此總評級大幅提升。
 
 
網路服務:在網路服務中,5成業者將網域名稱下的對外公開網路服務管理妥善,並僅開放必要之服務,但仍有3成業者的 FTP被偵測到為公開的服務,將讓攻擊者有機會藉由 FTP 竊取資料和上傳惡意檔案。
 
網站:多數業者的問題來自網站相關套件與應用的錯誤設定,或未更新至安全的版本等常見的弱點,將可能導致攻擊者已知舊版本弱點的攻擊腳本,或是透過簡易的跨站攻擊繞過網站的安全性驗證甚至取得客戶資料。
 
電子郵件:有7成的業者並未妥善管理電子郵件的安全,其中多數未進行DMARC與SPF的正確設定,將可能導致攻擊者透過業者的相同郵件網域,發送惡意郵件給民眾與員工,他們因而可能遭受社交工程,導致資料外洩的情形發生。
 
帳號密碼:8成業者已發生帳號密碼外洩,包含員工個人的帳號以及系統,或是對外服務所使用的公用帳號,同時曾發生帳號密碼外洩的業者中,都出現外洩多組的帳號密碼,將讓攻擊者可以精準鎖定目標,執行釣魚或直接滲透各項系統。
 
雲端安全:飯店業者皆透過公有雲的服務來建構自己的線上服務體系,因此妥善且安全的運用雲端資源是必要的投入。